A legislação brasileira recomenda que as empresas que manipulam ou armazenam dados pessoais de terceiros possuam um processo formal de gestão de incidentes de segurança da informação.